길리랩blog

좀비쿠키의 복원 구조와 웹 추적 프라이버시 위험

좀비쿠키가 브라우저 저장소를 이용해 삭제된 식별자를 복원하는 방식과 탐지, 방어, 개인정보 보호 쟁점을 정리한다.

2026-08-14 · 최초 발행 2025-05-26

삭제 이후에도 식별자가 돌아오는 이유

좀비쿠키(Zombie Cookie)는 사용자가 일반 쿠키를 삭제한 뒤에도 다시 생성될 수 있는 영속적 추적 기술이다. Super Cookie 또는 Evercookie라는 이름으로도 불린다.

핵심은 하나의 쿠키 값이 아니라 여러 브라우저 저장소에 남긴 복제본이다. 사용자가 특정 저장소를 비워도 다른 위치에 남아 있는 값을 읽어 쿠키를 복원할 수 있으므로, 일반적인 쿠키 삭제만으로는 제거하기 어렵다.

여러 저장 경로에 복제되는 식별자

좀비쿠키 구현에는 다음과 같은 저장소와 브라우저 기능이 사용될 수 있다.

  • 표준 HTTP 쿠키
  • Adobe Flash의 로컬 공유 객체를 사용하는 Flash 쿠키(LSO)
  • localStorage, sessionStorage, Web SQL Database, IndexedDB 같은 HTML5 Storage
  • ETags와 Last-Modified 헤더를 활용하는 브라우저 캐시
  • window.history 객체를 이용하는 브라우저 히스토리
  • window.name 속성
  • 캔버스 지문(Canvas Fingerprinting)을 활용하는 RGB 값 조작
⤢✕사용자 웹사이트 방문좀비쿠키 생성HTTP 쿠키 저장Flash 쿠키 저장localStorage 저장기타 저장소 활용사용자가 쿠키 삭제남아있는 저장소에서 데이터복구쿠키 재생성사용자 추적 계속 진행

각 저장소가 같은 식별자를 보관하면, 한 위치에서 값이 사라졌는지 확인한 뒤 다른 위치의 값으로 되돌리는 방식이 가능해진다.

Evercookie와 캐시 헤더를 이용한 방식

2010년 보안 연구자 Samy Kamkar가 개발한 Evercookie는 최대 13개의 서로 다른 저장 메커니즘을 이용해 쿠키 데이터를 복제하고 재생성하는 JavaScript 라이브러리다.

// Evercookie 생성
var ec = new evercookie();

// 쿠키 설정
ec.set("userId", "user123456");

// 쿠키 가져오기
ec.get("userId", function (value) {
  console.log("Retrieved userId: " + value);
});

ETag를 브라우저 캐시와 결합하는 방식도 사용자 추적에 활용될 수 있다. 서버는 응답 헤더에 식별자 형태의 ETag를 포함하고, 브라우저는 이후 요청에서 해당 값을 If-None-Match 헤더로 보낸다.

HTTP/1.1 200 OK
Date: Mon, 23 May 2023 10:30:15 GMT
Content-Type: text/html; charset=UTF-8
ETag: "user-identifier-hash-12345"
Cache-Control: max-age=3600

GET /resource HTTP/1.1
Host: example.com
If-None-Match: "user-identifier-hash-12345"

저장소 간 복원 패턴을 찾아내기

좀비쿠키 탐지는 단일 쿠키 목록만 보는 작업이 아니다. 쿠키, 로컬 스토리지, 세션 스토리지, IndexedDB 등 브라우저 저장소를 함께 검사해야 한다. 쿠키를 삭제한 직후 동일한 값이 다시 생성되는지도 중요한 단서다.

⤢✕YesNoYesNo브라우저 저장소 검사비정상적인 쿠키 동작 탐지좀비쿠키 의심정상 쿠키추가 검사 수행다중 저장소 사용 확인좀비쿠키 확정일반 쿠키

브라우저 개발자 도구로 저장소를 확인할 수 있으며, Privacy Badger나 Ghostery 같은 전문 프라이버시 분석 도구도 사용할 수 있다. 네트워크 트래픽에서는 비정상적인 HTTP 헤더와 요청 패턴을 함께 살펴볼 필요가 있다.

사용자 삭제권과 충돌하는 지점

좀비쿠키는 사용자 동의 없이 개인정보를 수집하거나, 쿠키 삭제 권한을 무력화해 ‘잊힐 권리’를 침해할 가능성이 있다. 이런 특성은 GDPR(EU 일반 데이터 보호규정), CCPA(캘리포니아 소비자 개인정보 보호법), ePrivacy Directive(EU 쿠키법) 위반 문제로 이어질 수 있다.

법적 쟁점과 별개로 사용자 자율성도 문제다. 사용자가 삭제를 선택했는데도 추적 식별자가 복원되면 그 결정은 무시된다. 구현 사실을 고지하지 않는 경우에는 투명성 부족과 지속적 추적에 따른 프라이버시 침해도 발생한다.

브라우저에서 추적 흔적을 줄이는 방법

개인정보 보호 모드를 사용하면 세션이 끝날 때 대부분의 저장소가 자동 삭제된다. 제3자 쿠키를 차단하고, 쿠키·캐시·로컬 스토리지·세션 스토리지·IndexedDB·WebSQL 등 모든 브라우저 저장소를 정기적으로 삭제하는 방법도 있다.

Chrome에서는 다음 경로로 삭제 범위를 선택할 수 있다.

설정 > 개인정보 및 보안 > 인터넷 사용 기록 삭제 >
고급 > 모든 항목 선택 > 데이터 삭제

보다 강한 분리가 필요하면 Firefox의 Multi-Account Containers 같은 컨테이너 기반 브라우징, 가상머신 또는 샌드박스 환경을 활용할 수 있다. uBlock Origin, Privacy Badger, Cookie AutoDelete 같은 프라이버시 확장 프로그램과 Tor Browser, Brave 브라우저의 지문 방지 기능도 방어 수단이 된다.

추적 활용과 브라우저·규제의 변화

마케팅과 광고에서는 여러 기기에서 같은 사용자를 식별하는 교차 디바이스 추적, 쿠키 삭제로 인한 데이터 손실 방지, 리타겟팅 최적화에 이런 방식이 활용될 수 있다. 보안과 사기 방지 영역에서는 비정상 로그인 패턴 감지, 악의적 사용자의 쿠키 삭제 우회, 지속적 행동 모니터링을 통한 이상 감지에 사용될 수 있다.

동시에 Chrome의 SameSite 쿠키 정책, Firefox의 향상된 추적 방지 기능, Safari의 지능형 추적 방지 시스템은 브라우저 차원의 방어를 강화하고 있다. 제3자 쿠키의 단계적 폐지, Privacy Sandbox 이니셔티브, 새로운 개인정보 보호 API 개발도 웹 표준 변화의 일부다.

GDPR의 글로벌 영향력 확대와 미국 내 포괄적 개인정보 보호법 도입 가능성은 규제 환경을 더 엄격하게 만들 수 있다. IAB(Interactive Advertising Bureau)의 프레임워크 개선과 광고 업계의 윤리적 가이드라인 강화 같은 자율 규제도 이어지고 있다.

클라이언트 저장소에 의존하지 않는 선택지

좀비쿠키 대신 서버 측 추적, 머신러닝 기반 확률적 ID 기술, 개인정보를 공유하지 않고 데이터를 활용하는 연합 학습(Federated Learning), Google의 FLoC(Federated Learning of Cohorts) 같은 프라이버시 보존 광고 기술을 고려할 수 있다.

지속적 식별이 필요한 요구와 사용자 프라이버시 사이의 충돌은 사라지지 않는다. 사용자 동의와 삭제권을 우회하는 저장소 복원 방식보다, 프라이버시를 존중하면서 데이터 활용 목적을 충족하는 접근이 필요하다.

좀비쿠키웹 추적개인정보보호브라우저 보안Evercookie